Den Webserver absichern mir dem CSP Header

Die Kopfzeile der Content Security Policy (CSP) ist ein wichtiger Aspekt der Website-Sicherheit. Er ermöglicht es Webentwicklern, explizit festzulegen, aus welchen Quellen Inhalte auf eine Webseite geladen werden dürfen und welche Aktionen auf einer Seite durchgeführt werden können. Die Verwendung eines CSP-Headers kann das Risiko von Angriffen wie Cross-Site-Scripting (XSS), Injection-Attacken und Malware-Verbreitung verringern. In diesem Text geben wir einen Einblick in die Struktur und Verwendung von CSP-Headern und stellen ein Beispiel für einen CSP-Header vor.

Um den CSP-Header (Content Security Policy) anzupassen, gibt es verschiedene Möglichkeiten, je nachdem, welche Technologie du verwendest:

• Wenn du Apache verwendest, kannst du die Erweiterung mod_headers verwenden, um den Header in der .htaccess-Datei zu setzen.
• Wenn du Nginx verwendest, kannst du den Header in der Konfigurationsdatei des virtuellen Hosts setzen.
• Wenn du ein Framework wie Express verwendest, kannst du ein entsprechendes Middleware-Modul verwenden, um den Header zu setzen.
• Du kannst den CSP auch über ein Meta-Tag im HTML-Dokument setzen.
• Wenn du eine Anwendung in einem CDN (Content Delivery Network) hostest, kannst du den CSP-Header über die Konfigurationsoptionen des CDN festlegen.

Ich empfehle dir, die Dokumentation des von dir verwendeten Proxy Managers zu lesen, um zu verstehen, wie du CSP konfigurieren kannst.

Wie kann der CSP-Header angepasst werden?

Es gibt mehrere Möglichkeiten, den CSP-Header (Content Security Policy) anzupassen, je nachdem, welchen Proxy Manager du verwendest. Wenn du zum Beispiel Apache verwendest, kannst du die mod_headers-Erweiterung verwenden, um den Header in der .htaccess-Datei zu setzen. Wenn du Nginx verwendest, kannst du den Header in der Konfigurationsdatei des virtuellen Hosts setzen. Wenn du ein Framework wie Express verwendest, kannst du ein entsprechendes Middleware-Modul verwenden, um den Header zu setzen.

Es ist auch möglich, CSP über ein Meta-Tag im HTML-Dokument zu setzen. Wenn du deine Anwendung in einem CDN (Content Delivery Network) hostest, kannst du den CSP-Header über die Konfigurationsoptionen des CDN festlegen. Der Schlüssel des CSP-Headers ist „Content-Security-Policy“, gefolgt von einem Doppelpunkt und einem Leerzeichen. Der Wert des Headers besteht aus mehreren Direktiven, die durch Semikolons getrennt sind. Jede Direktive legt fest, welche Art von Inhalt aus welchen Quellen geladen werden darf.

Einige Beispiele für CSP-Direktiven sind:

• „default-src“ gibt die Standardquellen für alle Arten von Inhalten an.
• script-src“ legt die Quellen für ausführbaren JavaScript-Code fest.
• img-src“ gibt die Quellen für Bilder an.
• style-src“ gibt die Quellen für CSS-Stile an.
• frame-src“ gibt die Quellen für eingebettete Inhalte an.

Jede Direktive kann mehrere Quellen enthalten, die durch Leerzeichen getrennt sind. Eine Quelle kann eine URL sein, ein Platzhalter (*), was bedeutet, dass alle URLs erlaubt sind, oder „self“, was nur das aktuelle Protokoll, die Domain und den Port erlaubt.

Hier ein Beispiel wie ein Header Aussehen könnte. Dieser müsste im Falle von WordPress noch wesentlich mehr ausgeschmückt werden, je nachdem welche Plugins man nutzt. Die meisten brauchen externe Schnittstellen um zu funktionieren. Beispielsweise Rank Math SEO, welches ich nutze.

Content-Security-Policy: default-src 'self' 'unsafe-inline' *.akamai.net *.doubleclick.net *.facebook.com *.facebook.net *.google-analytics.com *.googlesyndication.com *.gstatic.com *.sharethis.com *.twitter.com *.youtube.com api.stripe.com js js.stripe.com platform.linkedin.com;

Wer sich nicht die Mühe machen möchte und diesen selber erstellen möchte, kann auch einen externen CSP Header Generator nutzen.

Online CSP Header Generatoren können eine gute Lösung für Entwickler sein, die einen CSP-Header schnell und einfach konfigurieren möchten. Sie bieten die Möglichkeit, einen gültigen CSP-Header in wenigen Minuten zu erstellen und bieten oft Empfehlungen und Best Practices für die Konfiguration.

Allerdings sind diese Online CSP Header Generatoren mit Vorsicht zu geniessen und sollten nur als Anfangspunkt dienen. Die erstellten CSP-Header sollten manuell überprüft und an die Bedürfnisse der Webseite angepasst werden. Außerdem müssen die CSP-Header regelmäßig überwacht und überprüft werden, um sicherzustellen, dass sie den aktuellen Bedürfnissen der Webseite entsprechen und dass keine Sicherheitslücken bestehen.

Ein paar bekannte Online CSP Header Generatoren sind CSP Validator, Report URI, SecurityHeaders.io und sowie einige Plugins für Chrome und Firefox. Es ist jedoch wichtig, dass man die Wahl des Generators sorgfältig überlegt und vergleicht, um sicherzustellen, dass die Bedürfnisse der Webseite optimal erfüllt werden.